IPSec VPN

IPsec VPN是一种基于IPsec（Internet Protocol Security）协议来实现远程接入或站点到站点连接的虚拟专用网络（Virtual Private Network, VPN）技术。IPsec全称为Internet Protocol Security，是由Internet Engineering Task Force (IETF) 定义的一套为IP网络提供安全性的协议和服务的集合。

一、定义与功能

• 定义：IPsec VPN采用IPsec协议来实现两个或多个网络之间的安全通信。它通过加密和封装技术，在公共网络上为私有网络之间建立安全的通信隧道，确保数据传输的机密性、完整性和认证性。
• 功能：IPsec VPN提供了强大的安全保护机制，包括加密、认证和数据防篡改功能。它能够确保传输的数据在不被未授权用户窃取或篡改的同时，验证通信双方的身份，防止中间人攻击等安全威胁。

二、工作原理

• 隧道技术：IPsec VPN的核心是隧道技术，通过封装技术将IP数据包封装在IPsec协议头中，形成一个新的IP数据包进行传输。这个新的IP数据包在公共网络上传输时，其内部的数据内容是被加密的，只有拥有正确密钥的接收方才能解密并读取原始数据。
• 加密与认证：IPsec协议使用一系列的加密算法和认证算法来保证数据传输的安全性。加密算法用于对数据进行加密，确保数据的机密性；认证算法用于验证通信双方的身份和数据的完整性，防止数据被篡改或伪造。

三、优势与特点

• 安全性高：IPsec VPN采用强大的加密和认证机制，确保数据传输的安全性。
• 灵活性好：IPsec VPN支持多种网络拓扑结构，如点对点、星型等，满足不同场景下的需求。
• 扩展性强：IPsec VPN可以轻松地扩展到更多的用户和设备，支持大规模的网络部署。
• 成本效益高：相比传统的专线连接方式，IPsec VPN可以显著降低通信成本，提高网络资源的利用率。

以下是一个简单的IPsec VPN配置实验步骤：

四、实验操作

步骤一：

1.开启eNSP，新建拓扑文件，在工作区添加两台路由器(AR2220)和两台PC，按下图连接路由器、PC，开启设备。并按照下表进行IP地址的配置。

表1  IP地址的配置

设备	接口	IP地址	地址掩码	默认网关
R1	GE0/0/1	192.168.1.254	255.255.255.0	-
	GE0/0/0	10.0.1.1	255.255.255.0	-
R2	GE0/0/0	10.0.1.2	255.255.255.0	-
	GE0/0/1	192.168.2.254	255.255.255.0	-
PC1	Eth0/0/1	192.168.1.1	255.255.255.0	192.168.1.254
PC2	Eth0/0/1	192.168.2.1	255.255.255.0	192.168.2.254

步骤二：

2.使用RIP协议使全网互通，并在PC1上ping PC2,并截图如下。

步骤三：

3.启用IKE；创建IKE策略集policy，加密算法用AES，Hash函数用md5，D-H选group1，认证方式选提前共享；配置IKE身份认证的相关参数，密码用aa123；并用show crypto isakmp policy 验证IKE配置，将配置指令和验证结果截图如下。

//R1配置IKE策略 [R1]ike proposal 1 [R1-ike-proposal-1]encryption-algorithm aes-cbc-256 [R1-ike-proposal-1]authentication-algorithm md5 [R1-ike-proposal-1]authentication-method pre-share [R1-ike-proposal-1]dh group1 [R1-ike-proposal-1]q [R1]ike peer 10.0.1.2 v1 [R1-ike-peer-10.0.1.2]pre-shared-key cipher aa123 [R1-ike-peer-10.0.1.2]ike-proposal 1 [R1-ike-peer-10.0.1.2]remote-address 10.0.1.2

//R2配置IKE策略 [R2]ike proposal 1 [R2-ike-proposal-1]encryption-algorithm aes-cbc-256 [R2-ike-proposal-1]authentication-algorithm md5 [R2-ike-proposal-1]authentication-method pre-share [R2-ike-proposal-1]dh group1 [R2-ike-proposal-1]q [R2]ike  peer 10.0.1.1 v1 [R2-ike-peer-10.0.1.1]pre [R2-ike-peer-10.0.1.1]pre-shared-key cipher aa123 [R2-ike-peer-10.0.1.1]ike-pr   [R2-ike-peer-10.0.1.1]ike-proposal 1 [R2-ike-peer-10.0.1.1]re  [R2-ike-peer-10.0.1.1]remote-address 10.0.1.1

（1） R1配置IKE策略，并进行验证，如下图所示。

a.配置命令

b.验证

（2） R2配置IKE策略，并进行验证，如下图所示。

a.配置命令

b.验证

步骤四：

4.配置IPSec变换集，选用esp-md5-hmac，模式为隧道模式；用ACL定义需要IPSec保护的流量；创建map、把map 应用到路由器的端口上，使用“dis ipsec sa policy map”验证结果，并将配置指令和验证结果截图如下。

（1）R1、R2配置ACL以及配置IPSec安全提议，如下图所示。

（2）在R1、R2配置IPSec安全策略以及在接口应用IPsec安全策略，如下图所示。

（3）在R1上验证

（4）在R2上验证

（5）在PC1上验证